SKLEPNI PREDLOGI GENERALNEGA PRAVOBRANILCA
M. CAMPOSA SÁNCHEZ-BORDONE,
predstavljeni 6. oktobra 2022(1)
Zadeva C‑300/21
UI
proti
Österreichische Post AG
(Predlog za sprejetje predhodne odločbe, ki ga je vložilo Oberster Gerichtshof (vrhovno sodišče, Avstrija))
„Predlog za sprejetje predhodne odločbe – Varstvo osebnih podatkov – Uredba (EU) 2016/679 – Nepremoženjska škoda, ki nastane zaradi nezakonite obdelave podatkov – Zahteve za obstoj pravice do odškodnine – Škoda, ki presega določen prag resnosti“
1. Z Uredbo 2016/679(2) je vsakemu posamezniku, ki je utrpel premoženjsko ali nepremoženjsko škodo zaradi kršitve določb te uredbe, priznana pravica, da od upravljavca ali obdelovalca dobi odškodnino.
2. Možnost uveljavljanja te pravice v sodnem postopku je obstajala že v prejšnji ureditvi (člen 23 Direktive 95/46/ES(3)), čeprav se je le malokrat uporabila(4). Če se ne motim, Sodišče tega člena ni posebej razlagalo.
3. Z uveljavitvijo SUVP so odškodninske tožbe postale pomembnejše(5). Povečanje števila takih tožb je opazno pri sodiščih držav članic in se odraža v predlogih za sprejetje predhodne odločbe, ki se v zvezi z njimi vlagajo(6). V obravnavanem predlogu Oberster Gerichtshof (vrhovno sodišče, Avstrija) Sodišče prosi, naj natančneje pojasni nekatere skupne točke ureditve civilne odgovornosti, vzpostavljene s SUVP.
I. Pravni okvir. SUVP
4. Za ta spor so upoštevne zlasti uvodne izjave 75, 85 in 146 SUVP.
5. Člen 6 („Zakonitost obdelave“) določa:
„1. Obdelava je zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:
a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;
[…]“.
6. Člen 79 („Pravica do učinkovitega pravnega sredstva zoper upravljavca ali obdelovalca“) v odstavku 1 določa:
„Brez poseganja v katero koli razpoložljivo upravno ali izvensodno sredstvo, vključno s pravico do vložitve pritožbe pri nadzornem organu na podlagi člena 77, ima vsak posameznik, na katerega se nanašajo osebni podatki, pravico do učinkovitega pravnega sredstva, kadar meni, da so bile njegove pravice iz te uredbe kršene zaradi obdelave njegovih osebnih podatkov, ki ni bila v skladu s to uredbo.“
7. Člen 82 („Pravica do odškodnine in odgovornost“) v odstavku 1 določa:
„Vsak posameznik, ki je utrpel premoženjsko ali nepremoženjsko škodo kot posledico kršitve te uredbe, ima pravico, da od upravljavca ali obdelovalca dobi odškodnino za nastalo škodo.“
II. Dejansko stanje, spor in vprašanja za predhodno odločanje
8. Družba Österreichische Post AG kot založnik adresarjev od leta 2017 zbira informacije glede strankarskih preferenc avstrijskega prebivalstva. Z algoritmom je na podlagi določenih socialno-demografskih značilnostih opredelila „naslove ciljnih skupin“.
9. UI je fizična oseba, v zvezi s katero je družba Österreichische Post opravila statistično oceno, na podlagi katere jo je uvrstila v možne ciljne skupine za volilno oglaševanje različnih političnih strank. Iz te ocene je izhajalo, da oseba UI do ene od njih čuti precejšnjo naklonjenost. Ti podatki niso bili posredovani tretjim osebam.
10. Osebo UI, ki ni privolila v obdelavo svojih osebnih podatkov, je hramba podatkov o njenih simpatijah do političnih strank vznejevoljila in bila je ogorčena in užaljena zaradi preference, ki ji jo je pripisala družba Österreichische Post.
11. Oseba UI je zahtevala odškodnino v višini 1000 EUR zaradi nepremoženjske škode (notranje nelagodje). Trdi, da je politična preferenca, ki ji je bila pripisana, zanjo žaljiva in sramotna ter da je zaradi nje nastala škoda njenemu dobremu imenu. Dodaja, da jo je ravnanje družbe Österreichische Post hudo razjezilo in sprožilo izgubo zaupanja ter povzročilo občutek osramotitve.
12. Prvostopenjsko sodišče je odškodninski zahtevek osebe UI zavrnilo(7).
13. Pritožbeno sodišče je potrdilo sodbo sodišča prve stopnje. Menilo je, da se odškodnina za nepremoženjsko škodo ne prizna samodejno za vsako kršitev SUVP in da:
– se zato, ker se poleg SUVP dopolnilno uporabi tudi avstrijsko pravo, odškodnina prizna le za škodo, ki presega jezo oziroma prizadetost („Gefühlsschaden“), izzvano s kršitvijo pravic tožeče stranke;
– je treba spoštovati načelo, na katerem temelji avstrijsko pravo, da mora vsak tolerirati sámo nelagodje in občutja neugodja, ki nimajo odškodninskih posledic. Z drugimi besedami, za pravico do odškodnine mora biti podana določena znatnost zatrjevane škode.
14. Sodba pritožbenega sodišča se je izpodbijala pri Oberster Gerichtshof (vrhovno sodišče, Avstrija), ki je Sodišču postavilo ta vprašanja za predhodno odločanje:
„1. Ali je za priznanje odškodnine v skladu s členom 82 Uredbe [SUVP] poleg kršitve določb Splošne uredbe o varstvu podatkov tudi potrebno, da je tožeča stranka utrpela škodo, ali pa za priznanje odškodnine zadošča že sama kršitev določb Splošne uredbe o varstvu podatkov?
2. Ali pravo Unije za določitev višine odškodnine poleg načel učinkovitosti in enakovrednosti vsebuje še druge določbe?
3. Ali je s pravom Unije združljivo stališče, da je pogoj za priznanje nepremoženjske škode, da obstaja konsekvenca ali posledica kršitve z vsaj nekaj teže, ki presega jezo, izzvano s kršitvijo?“
III. Postopek
15. Sodno tajništvo sodišča je predlog za sprejetje predhodne odločbe prejelo 12. maja 2021.
16. Pisna stališča so predložile oseba UI, avstrijska, češka in irska vlada ter Evropska komisija. Presojeno je bilo, da obravnava ni potrebna.
IV. Analiza
A. Uvodni preudarki
1. Dopustnost
17. Oseba UI trdi, da prvo vprašanje za predhodno odločanje ni upoštevno za spor, saj njena tožba ni bila utemeljena s „samo“ kršitvijo določbe SUVP, temveč z njenimi posledicami ali učinki.
18. Ugovor nedopustnosti je treba zavrniti. Čeprav bi se priznalo, da je bila z obdelavo podatkov SUVP kršena, ne da bi zaradi tega osebi UI nastala škoda, bi bila ta lahko upravičena do odškodnine na podlagi člena 82 SUVP, če bi se potrdilo – kar želi izvedeti predložitveno sodišče – da že sama kršitev določbe v zvezi z obdelavo pomeni podlago za takšno pravico.
19. Po mnenju osebe UI bi lahko Sodišče za nedopustno štelo tudi drugo vprašanje, ker je z vsebinskega vidika preveč odprto, z vidika zahtev prava Unije pa preskopo, saj ne navaja nobene konkretne zahteve.
20. Tudi ta ugovor, čeprav je bolj utemeljen kot prejšnji, ne more uspeti. Upravičeno je, da želi sodišče izvedeti, ali mora za presojo škode poleg načel enakovrednosti in učinkovitosti upoštevati še druge zahteve, ki izhajajo iz prava Unije.
2. Zamejitev predmeta teh sklepnih predlogov
21. Člen 82 SUVP je sestavljen iz šestih odstavkov. Predložitveno sodišče ne navaja nobenega od njih, vendar je implicitno razvidno, da se sklicuje na prvega. Prav tako ni opredelilo pravila, katerega kršitev naj bi bila podlaga za odškodnino.
22. V sklepnih predlogih bom izhajal iz teh premis:
– Obdelava osebnih podatkov osebe UI je bila opravljena brez pridobitve njene privolitve v smislu člena 6(1)(a) SUVP.
– Pravico do odškodnine ima vsaka oseba, ki je utrpela škodo. V tem primeru je oseba UI kot določena fizična oseba, na katero obdelava vpliva, „posameznik, na katerega se nanašajo osebni podatki“(8).
– V SUVP je določena odškodnina za premoženjsko in nepremoženjsko škodo. Zahtevek osebe UI se nanaša samo na zadnjenavedeno in se glasi na denarni znesek.
B. Prvo vprašanje za predhodno odločanje
23. S prvim vprašanjem želi predložitveno sodišče v bistvu izvedeti, ali pravica do odškodnine nastane že na podlagi same kršitve določb SUVP, ne glede na to, ali je škoda nastala ali ne.
24. Iz navedb predložitvenega organa in stališč, predloženih Sodišču, je razvidno, da je mogoče tudi drugačno, nekoliko bolj kompleksno razumevanje vprašanja, in sicer tako, da se želi razjasniti, ali kršitev določb SUVP nujno povzroči škodo, zaradi katere nastane pravica do odškodnine, ne da bi tožena stranka sploh lahko dokazala nasprotno.
25. Med tem pristopoma je določena (teoretična) razlika: v prvem primeru škoda ni predpostavka za odškodnino, v drugem pa je. V praksi zahteva po tem, da tožeča stranka dokaže škodo, v obeh primerih izgine; prav tako ni treba dokazati vzročne zveze med kršitvijo in to škodo(9).
26. Naj že zdaj navedem, da po mojem mnenju na prvo vprašanje za predhodno odločanje, ne glede na to, kateri od obeh pristopov je ustrezen, ni mogoče odgovoriti pritrdilno. Oba pristopa bom obravnaval ločeno.
1. Odškodnina brez škode?
27. Trditev, da obstaja pravica do odškodnine, tudi če posameznik, na katerega se nanašajo osebni podatki, zaradi kršitve SUVP ne utrpi nobene škode, povzroča očitne težave, začenši s to v zvezi s samim besedilom člena 82(1) navedene uredbe.
28. V skladu s to določbo se odškodnina(10) prizna ravno zato, ker je predhodno nastala škoda. Nedvoumno se torej zahteva, da je fizična oseba utrpela škodo kot posledico kršitve SUVP.
29. Razlaga, s katero se pojem „kršitev“ samodejno in brez potrebe po obstoju škode povezuje s pojmom „odškodnina“, zato ni v skladu z besedilom člena 82 SUVP. Prav tako ni v skladu z glavnim ciljem ureditve civilne odgovornosti, vzpostavljene s SUVP, ki je v tem, da se posamezniku, na katerega se nanašajo osebni podatki, zagotovi zadoščenje, in sicer ravno s „celotno in učinkovito“ odškodnino za škodo, ki jo je utrpel(11).
30. Če škode ni, se z odškodnino ne bi več izpolnjeval namen poprave neugodnih posledic, nastalih zaradi kršitve, ampak namen drugačne narave, ki je bolj podobna naravi sankcije.
31. Je pa res, da lahko država članica v svojem pravnem redu določi plačilo kaznovalne odškodnine(12). Za tako odškodnino se šteje obsodba na plačilo znatnega zneska, ki presega tega, ki je strogo gledano potreben za pokritje škode.
32. Za priznanje kaznovalne odškodnine se praviloma zahteva predhoden obstoj škode. A čeprav je ta izhodišče, se njene premoženjske posledice ločujejo od višine nadomestila, ki ustreza tej škodi.
33. Kljub temu ni nepredstavljivo, da se pri kaznovalni odškodnini škoda ne upošteva ali da se ne šteje za pomembno za zagotovitev zadoščenja osebi, ki ga terja.
34. Za oblikovanje odgovora na prvo vprašanje moram analizirati, ali so take odškodnine zajete v SUVP, zlasti ker se nanje sklicujejo predložitveno sodišče v svojem sklepu ter stranke in intervenientke v stališčih, predloženih v okviru postopka predhodnega odločanja.
2. Kaznovalna odškodnina?
a) Jezikovna razlaga
35. Klasičnemu namenu civilne odgovornosti lahko dodamo še enega, in sicer „kaznovalnega“ oziroma „zastrašilnega“, pri katerem, kot sem že opisal, znesek odškodnine ne ustreza nastali škodi, temveč je večji od nje ali celo večkratnik njene vrednosti.
36. Pravo Unije v primeru kršitve pravil, ki jih določa, takšnim odškodninam načeloma ne nasprotuje, če jih je mogoče dodeliti na podlagi podobnih tožb, ki so utemeljene z določbami nacionalnega prava(13).
37. Kaznovalne odškodnine imajo odvračilen namen. Enak namen je lahko podan, če morajo države članice v zvezi s kršitvami direktive določiti ukrepe, ki bi morali imeti „dejanski odvračalni učinek“(14). V nekaterih direktivah je izrecno določeno, naj bodo odškodnine, zasnovane kot sankcije, odvračilne(15).
38. V drugih besedilih pa zakonodajalec Unije navaja, da namen direktive „ni uvedba obveznosti, da se predvidijo kaznovalne odškodnine“(16), ali da države članice v okviru prenosa direktive v nacionalno pravo ne bi smele določati takih odškodnin(17). V pravu Unije so neposredne naložitve tako imenovanih „kaznovalnih odškodnin“ izjema(18).
39. V SUVP ni nobene omembe o tem, da ima odškodnina za premoženjsko ali nepremoženjsko škodo kaznovalno naravo, ali o tem, da mora izračun njenega zneska odražati to naravo, ali o tem, da mora biti ta odškodnina odvračilna (medtem ko pa to značilnost pripisuje kazenskim sankcijam in upravnim globam)(19). Z jezikovnega vidika s SUVP kaznovalne odškodnine torej niso dopuščene.
b) Razlaga ob upoštevanju zgodovine nastanka člena
40. Predhodnik člena 82(1) SUVP je člen 23(1) Direktive 95/46. Ta je bil del sistema, katerega učinkovitost je temeljila na izvajanju v javnem in zasebnem interesu(20) in v okviru katerega se odškodnina (zasebni interes) in sankcija (javni interes) nista prekrivali(21). Nadzor nad izvajanjem pravil so izvajali predvsem neodvisni nadzorni organi(22).
41. V SUVP je prav tako privzet ta model, s tem da so v njej okrepljena orodja za zagotavljanje učinkovitosti njenih – zdaj podrobnejših – določb in – zdaj izrazitejših – posledic, določenih za primere, v kateri pride oziroma grozi, da bo prišlo do njihove kršitve:
– Po eni strani je bil povečan obseg funkcij nadzornih organov, ki so med drugim odgovorni za nalaganje harmoniziranih sankcij, ki so določene v sami SUVP(23). S tem je poudarjena komponenta izvrševanja pravil v javnem interesu.
– Po drugi strani pa določa, da lahko posamezniki pravice, ki jih imajo na podlagi SUVP(24), uveljavljajo z začetkom postopka bodisi pred nadzornimi organi (člen 77) bodisi pred sodiščem (člena 79 in 82). Poleg tega je na podlagi člena 80 nekaterim subjektom dovoljena vložitev zastopniških tožb(25), s čimer je varstvo splošnih interesov olajšano s tem, da ga lahko uveljavljajo posamezniki(26).
42. V SUVP je bil razvoj enotne ureditve civilne odgovornosti za škodo omejen. Vidiki, ki so bili v Direktivi 95/46 morda nejasni, kot je bil ta v zvezi z vključitvijo nepremoženjske škode v okvir škode, ki jo je treba povrniti(27), so bili hitro pojasnjeni. Pogajanja so bila osredotočena na druge vidike te ureditve(28).
43. V pripravljalnem gradivu nisem našel nobene razprave o morebitnem kaznovalnem namenu ureditve civilne odgovornosti, ki je določena v SUVP. Če to ni bilo predmet razprave, torej ni mogoče sklepati, da je ta namen zajet s členom 82; to velja še toliko bolj, če se upošteva, da se je o vključitvi takega namena razpravljalo pri drugih besedilih prava Unije(29).
44. Glede na to menim, da je bila tožba na podlagi člena 82(1) SUVP zasnovana in urejena tako, da ustreza tipičnima namenoma civilne odgovornosti: povračilu škode (glede oškodovanca) in, v drugi vrsti, preprečitvi prihodnje škode ( glede kršitelja).
c) Sistematična razlaga
45. Kot sem že navedel, je člen 82 SUVP del sistema za zagotovitev učinkovitosti pravil, v katerem je njegovo izvajanje v javnem interesu dopolnjeno s pobudami v zasebnem interesu. Z odškodnino, ki jo morajo plačati upravljavci ali obdelovalci, se prispeva k tej učinkovitosti.
46. Odškodninska obveznost (v idealnem primeru) učinkuje kot spodbuda za skrbnejše ravnanje v prihodnosti, spoštovanje pravil in preprečevanje nadaljnje škode. Tako vsak posameznik s tem, ko zase uveljavlja odškodnino, pripomore k splošni učinkovitosti pravil.
47. V tem okviru sta kompenzacijska in kaznovalna funkcija ločeni:
– Izpolnjevanju drugonavedene so namenjene globe, ki jih lahko naložijo nadzorni organi ali sodišča (člen 83(1) in (9) SUVP), in druge kazni, ki jih lahko države sprejmejo v skladu s členom 84 SUVP(30).
– Izpolnjevanju prvonavedene funkcije so namenjeni pritožba posameznika (člen 77) in sodni postopki (člen 79). Vendar nadzorni organi niso pristojni za odločanje o pravici do odškodnine.
48. V okviru te ločitve funkcij povračila škode in sankcioniranja:
– Organ mora pri naložitvi globe in določitvi njenega zneska upoštevati dejavnike iz člena 83 SUVP, ki na področju civilne odgovornosti niso upoštevni in ki jih načeloma ni mogoče uporabiti pri izračunu odškodnine(31).
– Če je raven škode, ki so jo utrpeli prizadeti posamezniki, dejavnik pri odmeri globe(32), pri izračunu njenega zneska ni treba upoštevati morebitne odškodnine, ki so jo prejeli(33).
49. S teoretičnega vidika se z razlago, v skladu s katero se ob neobstoju kakršne koli škode civilni odgovornosti pripiše kaznovalna funkcija, ustvarja tveganje, da bodo zaradi sankcijskih mehanizmov odškodninski postali odveč.
50. V praksi bi bili zaradi enostavnosti pridobitve „kaznovalnega“ prihodka iz naslova odškodnine posamezniki, na katere se nanašajo osebni podatki, lahko nagnjeni k temu, da bi se raje odločali za ta način kot za ta iz člena 77 SUVP. Če posplošim, nadzornim organom bi se odvzelo orodje (pritožba posameznika, na katerega se nanašajo osebni podatki) za preučitev in s tem za preiskavo ter sankcioniranje morebitnih kršitev SUVP, kar bi bilo v škodo instrumentom, ki so najprimernejši za zaščito splošnega interesa.
d) Teleološka razlaga
51. SUVP ima v bistvu dva cilja, ki sta razvidna že iz njenega naslova, in sicer a) na eni strani „varstvo posameznikov pri obdelavi njihovih osebnih podatkov“ in b) na drugi strani taka zagotovitev tega varstva, da se „prost pretok takih podatkov“ v Unije niti ne prepove niti ne omeji(34).
52. Menim, da se s SUVP zaradi doseganja teh ciljev ne zahteva, da je odškodnina povezana že s samo kršitvijo pravila, s katerim je urejena obdelava, in da se tako civilni odgovornosti pripišejo kaznovalne funkcije.
53. Za doseganje prvonavedenega cilja ni treba področja uporabe člena 82 SUVP z razlago razširiti tako, da bi bili z njim zajeti primeri, v katerih je bilo kršeno pravilo, vendar ni nastala škoda. Nasprotno, taka razširitev bi lahko negativno vplivala na drugonavedeni cilj.
54. Poudaril sem že, da SUVP določa več orodij za zagotavljanje skladnosti z njenimi pravili, ki soobstajajo in se medsebojno dopolnjujejo. Državam članicam ni treba (in pravzaprav tudi ne morejo) izbirati med mehanizmi iz poglavja VIII za zagotavljanje varstva podatkov. V primeru kršitve, zaradi katere ne nastane škoda, ima posameznik, na katerega se nanašajo osebni podatki, v skladu s členom 77(1) SUVP še vedno (vsaj) pravico vložiti pritožbo pri nadzornem organu.
55. Poleg tega bi možnost pridobitve odškodnine ne glede na nastanek škode verjetno spodbudila sprožanje civilnih postopkov, v katerih bi se uveljavljali zahtevki, ki morda ne bi bili vedno upravičeni(35), kar bi za dejavnost obdelave podatkov lahko imelo odvračilne učinke(36).
3. Domneva škode?
56. Nekatere udeleženke spora v stališčih, ki so jih predložile, predlagajo razumevanje prvega vprašanja za predhodno odločanje, ki se razlikuje od tega, ki sem ga preučil zgoraj. Zdi se, če prav razumem njihov pristop(37), da trdijo, da v primeru kršitve pravila velja nesporna domneva o škodi.
57. Dodajajo, da takšna kršitev nujno pomeni izgubo nadzora nad podatki, kar samo po sebi pomeni škodo, ki jo je na podlagi člena 82(1) SUVP treba povrniti.
58. Teoretično je pri tej domnevi neizogibno treba predpostaviti škodo, s čimer se spoštujeta tipična struktura civilne odgovornosti in tudi besedilo določbe SUVP. V praksi pa bi bile za tožečo in toženo stranko posledice sprejetja take domneve podobne tem, ki bi jih imela vezanost odškodnine iz člena 82(1) SUVP že na samo kršitev pravila.
59. Spet bom uporabil običajna razlagalna merila ter pojasnil, zakaj se mi ta razlaga ne zdi pravilna.
a) Jezikovna razlaga
60. Kadar je zakonodajalec Unije na drugih področjih prava Unije menil, da že zaradi same kršitve pravila samodejno nastane pravica do odškodnine, je to brez zadržkov tudi določil(38). Tega ni storil v SUVP, v kateri so določena pravila o dokazovanju ali pravila, ki imajo neposredne posledice za dokazovanje(39); ni pa v njej govora o takšni samodejni – neposredni ali v obliki neovrgljive domneve – povezavi.
61. Zdi se mi, da sklicevanja na nadzor nad podatki (ali na izgubo tega nadzora) v uvodnih izjavah 75(40) in 85(41) SUVP ne vplivajo na ta molk. Poleg tega, da uvodni izjavi kot taki nimata normativne vrednosti, z nobeno od njiju ni mogoče utemeljiti, da kršitev pravila sama po sebi pomeni nastanek škode, ki jo je treba povrniti:
– v uvodni izjavi 75 je preprečitev nadzora nad osebnimi podatki navedena kot eno od možnih tveganj obdelave;
– v uvodni izjavi 85 je izguba nadzora omenjena kot ena od posledic, ki lahko nastanejo zaradi kršitve varstva osebnih podatkov(42).
62. Ni nujno, da zaradi izgube nadzora nad podatki neizogibno nastane škoda. Izraz je mogoče razumeti kot namig na škodo, ki utegne nastati po taki izgubi(43).
b) Razlaga ob upoštevanju zgodovine nastanka
63. Tudi z analizo zgodovine nastanka ni mogoče utemeljiti obstoja takšne domneve; ni je bilo v Direktivi 95/46(44) in ni omenjena v dokumentih Komisije, Evropskega parlamenta ali Sveta, pripravljenih pred sprejetjem SUVP, ki sem jih preučil.
c) Sistematična razlaga
64. Iz sistema SUVP so razvidni elementi, na podlagi katerih je mogoče zavrniti trditev, da je sporna domneva s to uredbo zajeta, ker se kot izhodišče upošteva privolitev posameznika, na katerega se nanašajo osebni podatki(45). S takšno privolitvijo kot sredstvom za nadzor nad podatki je obdelava podatkov upravičena enako kot z drugimi pravnimi podlagami (člen 6 SUVP)(46).
65. Zakonita obdelava osebnih podatkov je mogoča brez dovoljenja posameznika, na katerega se nanašajo osebni podatki, in s tem ob neobstoju nadzora, ki ga ta izvaja s tem, da zavrne ali da tako dovoljenje. Njegov pomen v okviru sistema vsekakor ni absoluten.
66. V SUVP so poleg tega določene druge možnosti za izvajanje tega nadzora: med njimi je pravica do izbrisa, na podlagi katere mora upravljavec ustrezne podatke „brez nepotrebnega odlašanja“ odstraniti(47).
67. Za osebo, katere podatki se obdelujejo, ta pravica učinkuje kot varnostni ventil sistema varstva: velja (kot načelno pravilo), kadar upravljavec ni pridobil privolitve posameznika, na katerega se nanašajo osebni podatki, in kadar ni druge podlage za utemeljitev obdelave podatkov; prav tako ni odvisna od tega, ali je zaradi obdelave podatkov nastala škoda(48).
d) Teleološka razlaga
1) Ali je nadzor posameznika, na katerega se nanašajo osebni podatki, nad svojimi podatki eden od ciljev SUVP?
68. Samodejno istovetenje obdelave osebnih podatkov, za katero ni bila pridobljena privolitev posameznika, na katerega se nanašajo osebni podatki, z nastankom škode, ki jo je treba povrniti, bi pomenilo, da ta nadzor, ki se izvaja s privolitvijo, sam po sebi pomeni vrednoto.
69. Priznam, da se na prvi pogled to stališče ne zdi nepodprto. V predlogu Komisije je kot eden od glavnih razlogov za reformo naveden cilj, da bi imeli državljani nadzor nad svojimi podatki(49). V uvodni izjavi 7 SUVP je navedeno, da bi morali imeti „[p]osamezniki […] nadzor nad lastnimi osebnimi podatki“.
70. Pri razlagi tega pojma je gotovo treba – ne glede na teoretične razprave, ki so se pojavile v zvezi z njim – biti previden. V uredbi SUVP ni natančne opredelitve pojma „nadzor“(50) (niti je nisem našel nikjer drugje). Izraz ima vsaj dva pomena, ki se med seboj ne izključujeta, in sicer se ga lahko razume tako, da pomeni „moč“ ali „oblast“ ali pa „nadzorovanje“.
71. Zaradi formulacije uvodne izjave 7 SUVP nastane nekaj negotovosti, saj se razlikuje glede na jezikovne različice(51). Na podlagi njene vsebine menim, da so s SUVP posamezniku, na katerega se nanašajo osebni podatki, zagotovljena pooblastila za preverjanje in posredovanje v položajih, v katerih drugi ravnajo z njihovimi podatki, in sicer kot (eno od) orodij za izvajanja varstva teh podatkov.
72. Posameznik, na katerega se nanašajo osebni podatki, sam prispeva k varstvu informacij, ki so izražene v podatkih, in je za to varstvo odgovoren v obsegu – na ravni in na način – ki je določen v SUVP. Okvir posameznikovega ukrepanja je ozek: glede pravic, določenih v SUVP, je omejen na njihovo uveljavljanje pod konkretnimi pogoji.
73. Privolitev posameznika, na katerega se nanašajo osebni podatki, kot največji izraz nadzora(52) je le ena od pravnih podlag za zakonito obdelavo; vendar se z njo ne more popraviti neizpolnitev drugih obveznosti in pogojev, ki jih morata spoštovati upravljavec in obdelovalec.
74. Menim, da iz SUVP ni mogoče enostavno izpeljati, da je njen namen posamezniku, na katerega se nanašajo osebni podatki, zagotoviti – kot vrednoto samo po sebi – nadzor nad osebnimi podatki. Prav tako ni razvidno, da bi bil njen namen ta, da bi imel posameznik, na katerega se nanašajo osebni podatki, največji mogoč nadzor nad temi podatki.
75. Ta ugotovitev ni presenetljiva. Po eni strani ni razvidno, da je nadzor v smislu oblasti nad podatki del bistvene vsebine temeljne pravice do varstva osebnih podatkov(53). Poleg tega pojmovanje te pravice kot pravice do samostojnega odločanja glede lastnih podatkov še zdaleč ni vsesplošno: v členu 8 Listine ta pojma nista uporabljena(54).
76. Podobno v končno besedilo SUVP prav tako ni bila vključena uvodna izjava, v kateri bi bilo navedeno, da „pravica do varstva osebnih podatkov temelji na pravici posameznika, na katerega se nanašajo osebni podatki, da izvaja nadzor nad osebnimi podatki, ki se obdelujejo“(55).
77. Na podlagi zgornjih preudarkov, ki so morda preveč abstraktni, se nagibam k trditvi, da zgolj to, da posameznik, na katerega se nanašajo osebni podatki, ne privoli v obdelavo in se ta opravi brez druge zakonite pravne podlage, ne more biti razlog, iz katerega je upravičen do finančnega nadomestila zaradi izgube nadzora nad svojimi podatki, kot da bi ta izguba sama po sebi pomenila nastanek škode, ki jo je treba povrniti(56). Preveriti je treba (in mora biti dokazano), ali je poleg tega utrpel škodo ali ne(57).
2) Preučitev nadzora posameznika, na katerega se nanašajo osebni podatki, glede na sobesedilo
78. Nazadnje se mi zdi primerno poudariti, da je varstvo osebnih podatkov kot cilj SUVP navedeno poleg cilja spodbujanja prostega pretoka podatkov(58).
79. Krepitev nadzora državljanov nad njihovimi osebnimi podatki v digitalnem okolju je eden od priznanih ciljev posodobitve ureditve varstva osebnih podatkov; vendar ne gre za samostojen ali ločen cilj.
80. Komisija je v sporočilu, ki je priloženo njenemu predlogu za SUVP, visoko raven varstva podatkov povezala z zaupanjem v spletne storitve, ki omogoča izpolnitev potenciala digitalnega gospodarstva ter spodbuja „gospodarsk[o] rast in konkurenčnost industrijskih panog EU“. S prenovo (in večjo harmonizacijo) zakonodaje Unije se „krepi […] razsežnost varstva podatkov na enotnem trgu“(59).
81. Glede na to, da so podatki (osebni in neosebni) pomembni za gospodarski in družbeni napredek v Evropi, se s SUVP posameznikovega nadzora nad podatki, ki se nanašajo nanj, ne skuša povečati tako, da se brez nadaljnjega ugodi njegovim željam v zvezi s tem, temveč tako, da se uskladi posameznikova pravica do varstva osebnih podatkov z interesi tretjih oseb in družbe(60).
82. Poudarjam, namen SUVP ni to, da se obdelava osebnih podatkov sistemsko omeji, temveč to, da se jo legitimira, če so izpolnjeni strogi pogoji. Ta namen se uresničuje predvsem s spodbujanjem zaupanja posameznika, na katerega se nanašajo osebni podatki, da se bo obdelava izvajala v varnem okviru(61), k čemur prispeva tudi sam. S tem se podpira njegova pripravljenost, da dovoli dostop do svojih podatkov in njihovo uporabo, med drugim na področju spletnih trgovinskih transakcij.
C. Drugo vprašanje za predhodno odločanje
83. Predložitveno sodišče želi izvedeti, ali „pravo Unije za določitev višine odškodnine poleg načel učinkovitosti in enakovrednosti vsebuje še druge določbe“.
84. Pravzaprav se zdi, da načelo enakovrednosti v obravnavanem okviru ne igra upoštevne vloge: harmonizirana ureditev iz SUVP se na tem področju uporablja neposredno, člen 82 SUVP pa se uporablja za vso nepremoženjsko škodo, ki nastane zaradi kršitve, ne glede na to, iz česa izhaja.
85. Enak preudarek velja za načelo učinkovitosti. Drugo vprašanje pa je, kakšna bi morala biti – glede na navedbo iz uvodne izjave 146 SUVP (posamezniki, na katere se nanašajo osebni podatki, bi morali prejeti celotno in učinkovito odškodnino za škodo, ki so jo utrpeli) – vsebina odškodnine.
86. Edina zahteva, opredeljena v členu 82 SUVP, je obstoj kršitve pravil, ki jih določa, katere posledica je premoženjska ali nepremoženjska škoda, ki jo utrpi kateri koli posameznik. Niso pa v njem določene smernice, ki naj jih nacionalna sodišča upoštevajo pri izračunu zneska odškodnine za to škodo.
87. Odškodnina bo – ob upoštevanju zgoraj navedenih pridevnikov (celotna in učinkovita) – v prvi vrsti odvisna od zahtevka, ki ga oblikuje vsak tožnik.
88. Če ta zahtevek vključuje naložitev kaznovalne odškodnine(62), zadostuje odgovor na prvo vprašanje: v SUVP taka odškodnina ni določena. V okviru te uredbe se z ureditvijo civilne odgovornosti uresničuje „zasebna“ odškodninska funkcija, medtem ko se z globami in kazenskimi sankcijami v javnem interesu izpolnjuje funkcija odvračanja in po potrebi kaznovanja.
89. Ni izključeno, da odškodnina, ki se uveljavlja za nepremoženjsko škodo, vključuje tudi druge komponente, ne le denarno, na primer priznanje, da je bila kršitev storjena, s čimer se tožniku zagotovi določeno moralno zadoščenje. Na podlagi sodbe Sodišča z dne 15. aprila 2021(63), ki je bila sicer sprejeta na področju, ki se ne prekriva s področjem varstva podatkov, bi bilo po analogiji mogoče ugoditi takemu zahtevku.
90. V pravnih redih, ki poznajo tako odškodnino, so lahko v okviru ureditve civilne odgovornosti določene kazni iz naslova obrambe pravice (plačilo simbolične odškodnine) ali nevtralizacije neupravičene koristi (izročitev neupravičeno pridobljene koristi).
91. Prvonavedene temeljijo na ideji, da se kontinuiteta in uresničevanje pravice („Rechtsfortsetzungsfunktion“) zagotovita s povsem simbolično odškodnino ter ugotovitvijo, da je tožena stranka storila protipravno dejanje in kršila pravice tožeče stranke. V členu 82 SUVP ni zajeta in o njej prav tako ni sledi v pripravljalen gradivu; to ni presenetljivo, saj ni prisotna v vseh pravnih sistemih držav članic(64), v teh, v katerih obstaja, pa so o njej nasprotujoča si mnenja.(65)
92. Vendar sistem SUVP in njeni cilji ne nasprotujejo temu, da bi države članice, ki poznajo to sredstvo, osebam, ki so prizadete zaradi kršitve nekega pravila, v okviru pravnih sredstev iz člena 79 SUVP omogočile njegovo uporabo za primer neobstoja kakršne koli škode. Položaj, v katerem tožnik trdi, da je utrpel premoženjsko škodo, pa je urejen v členu 82 SUVP in težavnost dokaza te škode ne bi smela biti razlog za to, da se prizna simbolična odškodnina(66).
93. Namen kazni, pri katerih gre za plačilo zneska po kršitvi pravice, je lahko v tem, da se storilcu kršitve odvzame doseženi dobiček. Ta namen zunaj področja intelektualne lastnine(67) ni običajen v odškodninskem pravu, v katerem se kot vodilo upošteva predvsem izguba, ki jo utrpi oškodovanec, in ne dobiček kršitelja(68). V ureditvi iz SUVP ta namen ni zajet.
94. Te preudarke navajam, da bi – glede na širok okvir drugega vprašanja za predhodno odločanje – predložitvenemu sodišču olajšal delo. Vendar mi je jasno, da utegne biti njihova uporabnost za odločitev o ugoditvi ali zavrnitvi zahtevka, s katerim zadevna stranka zahteva odškodnino za nepremoženjsko škodo, ki je izražena izključno v denarju, zelo majhna.
D. Tretje vprašanje za predhodno odločanje
95. Predložitveno sodišče želi izvedeti, ali je v skladu s SUVP pogoj za priznanje nepremoženjske škode to, da obstaja „posledica kršitve z vsaj nekaj teže, ki presega jezo, izzvano s kršitvijo“.
96. V predlogu za sprejetje predhodne odločbe se kot merilo za to, kaj je treba povrniti, upošteva intenzivnost občutenja prizadete osebe. Predložitveno sodišče pa ne sprašuje (oziroma vsaj ne izrecno), ali je določeno čustvo ali občutek prizadete osebe na podlagi svoje vsebine(69) upošteven za namene člena 82(1) SUVP ali ne.
97. Tako se postavlja vprašanje, ali lahko države članice odškodnino za nepremoženjsko škodo pogojujejo s tehtnostjo posledic kršitve pravila ter to odškodnino dopustijo le za te posledice, ki presegajo določen prag resnosti. Vprašanje se torej ne bi nanašalo na elemente škode(70) ali znesek odškodnine, temveč na obstoj minimalne meje prizadetosti stranke, pod katero se ji odškodnina ne prizna.
98. Iz člena 82 SUVP ni neposredno razviden odgovor na to vprašanje. Ravno tako po mojem mnenju ni razviden iz uvodnih izjav 75 in 85. V obeh je seznam primeroma naštetih škod, ki se konča z odprto določbo, s katero – kot se zdi – je škoda, ki jo je treba povrniti, omejena na „znatno“ škodo.
99. Vendar menim, da ti uvodni izjavi nista koristni za rešitev dvoma predložitvenega sodišča:
– prva se nanaša na ugotavljanje in ocenjevanje tveganj pri obdelavi podatkov ter sprejetje ukrepov za njihovo preprečevanje ali ublažitev. V njej so pojasnjene nezaželene posledice vsakršne obdelave in poudarjene „zlasti“ nekatere, in sicer najbrž zato, ker so najresnejše;
– druga se nanaša na kršitve varstva podatkov in v njej je opozorjeno, da so lahko posledice takšnih kršitev velike.
100. Iz uvodne izjave 146 SUVP (upravljavci bi morali povrniti „vso škodo“)(71) prav tako niso razvidna merila, na podlagi katerih bi bilo mogoče odgovoriti na to vprašanje.
101. Zaradi prenosa te uvodne izjave v besedilo SUVP je bila vanj izrecno vključena nepremoženjska škoda, s čimer se je odstopilo od Direktive 95/46, ki je glede tega molčala(72). Ni pa se obravnavalo vprašanja, o katerem mora zdaj odločiti Sodišče.
102. V uvodni izjavi 146 SUVP je prav tako navedeno, da bi bilo treba „[p]ojem škode […] razlagati široko ob upoštevanju sodne prakse Sodišča na način, ki v celoti odraža cilje te uredbe“.
103. Nisem prepričan, da je bila takšna navedba v okviru varstva podatkov zelo uporabna, saj Sodišče ob sprejetju SUVP o tem vprašanju še ni odločalo(73). Če je šlo za sklicevanje na sodbe o civilni odgovornosti, kot je urejena v drugih direktivah ali uredbah, bi bilo dobrodošlo napotilo na sklepanje po analogiji.
104. Sodišče pravzaprav ni oblikovalo splošne opredelitve „škode“, ki bi se lahko brez razlikovanja uporabljala na katerem koli področju(74). V zvezi s predmetom obravnave v tem postopku (nepremoženjska škoda) je na podlagi njegove sodne prakse mogoče sklepati, da:
– je treba, če je cilj (ali eden od ciljev) razlagane določbe varstvo posameznika ali določene kategorije posameznikov(75), pojem škode pojmovati široko;
– se v skladu s tem merilom odškodnina za nepremoženjsko škodo prizna tudi, če v razlagani določbi ni omenjena(76).
105. Čeprav je na podlagi sodne prakse Sodišča mogoče zagovarjati stališče, da v pravu Evropske unije obstaja – pod zgoraj opisanimi pogoji – načelo povračila nepremoženjske škode, pa menim, da iz tega ni mogoče izpeljati pravila, da je treba povrniti vsako nepremoženjsko škodo, ne glede na njeno resnost.
106. Sodišče je potrdilo, da pravo Unije ne nasprotuje nacionalni zakonodaji, v skladu s katero se za izračun odškodnine nepremoženjska škoda, povezana s telesnimi poškodbami zaradi nesreče, razlikuje glede na razloge zanjo(77).
107. Sodišče je prav tako presojalo, zaradi katerih okoliščin lahko – v skladu z določbo, ki se je uporabila v dani zadevi(78) – nastane nepremoženjska škoda, ni pa se (če se ne motim) izrecno opredelilo o zahtevi glede resnosti te škode(79).
108. Glede na zgornje preudarke menim, da je treba na tretje vprašanje za predhodno odločanje odgovoriti pritrdilno.
109. V podporo svojemu stališču naj opozorim, da SUVP ni namenjena zgolj zagotavljanju temeljne pravice do varstva osebnih podatkov(80) in da njen sistem zaščitnih ukrepov vključuje raznovrstne mehanizme(81).
110. V tem okviru je pomembno razlikovanje, ki ga je predlagalo Sodišče, med nepremoženjsko škodo, ki jo je treba povrniti, in drugimi neprijetnostmi, do katerih pride zaradi nespoštovanja zakonodaje, v zvezi s katerimi zaradi njihove neznatnosti ne nastane nujno pravica do odškodnine.
111. Takšna ločitev je v nacionalnih pravnih redih razumljena kot neizogibna posledica življenja v družbi(82). Sodišče se te razlike zaveda in jo priznava, ko se na težave in nevšečnosti kot na kategorijo, ki je v razmerju do kategorije škode samostojna, sklicuje na področjih, na katerih meni, da jih je treba kompenzirati(83). Ni ovir za to, da bi se to razliko preneslo v okvir SUVP.
112. Poleg tega se mi pravica do odškodnine iz člena 82(1) SUVP ne zdi pravi instrument za preprečevanje kršitev pri obdelavi osebnih podatkov, če te pri posamezniku, na katerega se nanašajo osebni podatki, povzročijo le nejevoljo ali jezo.
113. Vsaka kršitev določbe o varstvu osebnih podatkov pri posamezniku, na katerega se ti nanašajo, praviloma povzroči neki negativen odziv. Odškodnina za sam občutek nezadovoljstva, ker nekdo ni spoštoval prava, je zlahka zamenljiva z nadomestilom ob neobstoju škode, ki sem ga zavrnil že zgoraj.
114. To, da bi se med nepremoženjsko škodo, ki jo je treba povrniti, vključila že sama jeza, s praktičnega vidika ni učinkovito, če se upoštevajo nevšečnosti in težave, ki jih imata tožnik(84) s sprožitvijo sodnega postopka in toženec z obrambo(85).
115. Zanikanje obstoja pravice do odškodnine za šibke in prehodne(86) občutke ali čustva, povezana s kršitvijo pravil o obdelavi podatkov, še ne pomeni, da je posameznik, na katerega se nanašajo osebni podatki, popolnoma nemočen. Kot sem navedel v zvezi s prvim vprašanjem, so v okviru sistema SUVP na voljo druga pravna sredstva.
116. Ne dvomim, da je meja med samo jezo (ki ne pomeni škode, ki jo je treba povrniti) in pravo nepremoženjsko škodo (ki pa jo je treba povrniti) tanka, in zavedam se, kako zapleteno je abstraktno razmejiti obe kategoriji in ju konkretno uporabiti v sporu. To težko nalogo morajo izpolniti sodišča držav članic, ki pri odločanju verjetno ne bodo mogla spregledati, kako družba v primerih, v katerih subjektivne posledice kršitve pravila s tega področja ne presegajo ravni de minimis, v danem trenutku dojema to, kar je še treba tolerirati(87).
V. Predlog
117. Glede na navedeno Sodišču predlagam, naj Oberster Gerichtshof (vrhovno sodišče, Avstrija) odgovori tako:
Člen 82 PDEU Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) je treba razlagati tako, da
za priznanje pravice do odškodnine za škodo, ki jo posameznik utrpi zaradi kršitve navedene uredbe, ne zadošča zgolj kršitev pravila sama po sebi, če pri tem ne nastane ustrezna premoženjska ali nepremoženjska škoda.
Odškodnina za nepremoženjsko škodo, ki je v njej urejena, se ne nanaša na samo jezo, ki jo utegne prizadeti posameznik občutiti zaradi kršitve določb Uredbe 2016/679. Naloga nacionalnih sodišč je, da presodijo, kdaj se subjektivno občutje nelagodja zaradi svojih značilnosti lahko v vsakem primeru šteje za nepremoženjsko škodo.